Warum das Thema jetzt drängt
- Geopolitik: Die Abhängigkeit von wenigen US-Anbietern und die Reichweite des US CLOUD Act sind in Verwaltungsräten und Parlamenten zum Thema geworden.
- Öffentliche Hand: Die Bundesverwaltung baut mit der Swiss Government Cloud eigene Infrastruktur auf und testet einen Open-Source-Arbeitsplatz als Alternative zu Microsoft 365. Kantone und Gemeinden stellen sich dieselben Fragen.
- Angebot der Hersteller: Microsoft bietet Datenhaltung in Schweizer Rechenzentren, die EU-Datengrenze, externe Schlüsselverwaltung sowie mit Azure Local und Microsoft 365 Local lokal betriebene Varianten an. Schweizer Anbieter erweitern ihre Angebote ebenfalls.
- Regulierung: Datenschutzgesetz, Amtsgeheimnis, Bankkundengeheimnis und FINMA-Auslagerungsregeln verlangen nachvollziehbare Entscheide.
Die vier Dimensionen der Souveränität
| Dimension | Leitfrage | Typische Massnahmen |
|---|---|---|
| Daten | Wo liegen die Daten, wer kann zugreifen? | Schweizer Tenant, Datenresidenz, Multi-Geo, Klassifizierung |
| Schlüssel und Zugriff | Wer kontrolliert die Verschlüsselung und Administratorzugriffe? | Customer Key, Double Key Encryption, Kontrolle von Supportzugriffen |
| Betrieb | Wer betreibt die Plattform, wo und unter welchem Recht? | Public Cloud, souveräne Cloud, lokal betriebene Varianten, Schweizer Betreiber |
| Abhängigkeit und Exit | Wie leicht können wir wechseln oder weiterarbeiten, wenn ein Anbieter ausfällt? | Exit-Strategie, offene Formate, Datenexport, alternative Arbeitsplätze für kritische Funktionen |
Souveränität nach Schutzbedarf
Nicht alle Daten brauchen dasselbe Schutzniveau. Wir empfehlen eine abgestufte Architektur:
- Öffentliche und interne Daten: Microsoft 365 im Schweizer Tenant mit sauberer Konfiguration.
- Vertrauliche Daten: zusätzlich Verschlüsselung mit Vertraulichkeitsbezeichnungen, eingeschränkte Freigaben und gegebenenfalls eigene Schlüssel.
- Besonders schützenswerte oder geheime Daten: Verschlüsselung mit Schlüsseln unter eigener Kontrolle, lokal betriebene Systeme oder spezialisierte Schweizer Plattformen.
So bleibt die Organisation produktiv, während die heikelsten Daten dort liegen, wo das Risiko tragbar ist.
Unser Vorgehen
- Standortbestimmung: Datenbestände, Schutzbedarf, rechtliche Vorgaben und bestehende Abhängigkeiten erheben.
- Risikoanalyse: Szenarien wie Zugriff ausländischer Behörden, Dienstunterbruch oder Preis- und Lizenzänderungen bewerten.
- Zielbild: Souveränitätsstufen pro Datenklasse festlegen und passende Plattformen auswählen.
- Umsetzung: Konfiguration, Schlüsselverwaltung, Klassifizierung und Exit-Strategie umsetzen.
- Beschaffung: wo nötig Ausschreibung von Plattformen und Betreibern nach BöB oder IVöB.
Weiterlesen
Digitale Souveränität in der Schweiz (Grundlagen) · CLOUD Act und Microsoft 365 · Microsoft 365 Datenresidenz Schweiz · Microsoft 365 Multi-Geo · Vendor Lock-in in der Cloud-Beschaffung
Häufige Fragen
Ist Microsoft 365 mit digitaler Souveränität vereinbar?
Für viele Daten ja, wenn Datenstandort, Zugriffskontrolle und Exit-Fähigkeit bewusst gestaltet sind. Für besonders schützenswerte Daten braucht es zusätzliche Massnahmen oder andere Plattformen.
Schützt ein Schweizer Rechenzentrum vor dem CLOUD Act?
Nicht allein. Der Datenstandort ist wichtig, entscheidend ist aber auch, wer den Dienst betreibt und wer die Schlüssel kontrolliert.
Sollen wir Microsoft 365 durch Open Source ersetzen?
Das hängt von Schutzbedarf, Fachanwendungen und Budget ab. Wir bewerten Alternativen nach denselben Kriterien wie Microsoft und empfehlen, was zu Ihrer Situation passt.
Verwandte Themen und Leistungen
Microsoft-365-Einführung
Microsoft 365 in regulierten Organisationen einführen: Exchange Online, SharePoint und Teams, Intune, Informationsarchitektur und Governance von Anfang an.
Öffentliche Verwaltung
Beschaffung, Datenschutz und Souveränität.
IT-Beschaffung
Unabhängige Begleitung öffentlicher IT-Beschaffungen nach BöB/IVöB: Anforderungen, Verfahren, Zuschlagskriterien und Microsoft-Cloud-Ausschreibungen.
Digitale Souveränität
Beschreiben Sie Ihr Vorhaben, wir sagen Ihnen offen, ob und wie wir helfen können.